MailItemsAccessed og mailbox‑auditloggen: hvilke mails blev læst?

Forside › Microsoft 365 og Entra ID: logkilderne · Gennemgået oktober 2026 · Af John Nielsen

Når en postkasse har været kompromitteret, er det næste spørgsmål næsten altid: Hvilke mails har den uvedkommende set? Svaret afgør, om der er tale om et persondatabrud, hvem der skal underrettes, og hvor stor skaden er. I Exchange Online er den vigtigste kilde hændelsen MailItemsAccessed i postkassens auditlog. Den kan i mange tilfælde vise adgang til enkelte mails med deres Message-ID, men den har to tilstande med meget forskellig betydning, og den har grænser, der skal kendes, før man konkluderer.

Hvad en virksomhed skal gøre ved mistanke om, at nogen læser med, står på bevissikring-digitalt.dk. Auditloggen generelt er beskrevet i Unified Audit Log i Microsoft 365. Her går vi i dybden med postkassehændelserne.

Postkassens auditlog

Exchange Online registrerer handlinger i postkasser i tre grupper efter, hvem der udfører dem: ejeren, en stedfortræder med delegeret adgang og en administrator. For hver gruppe er der en liste over handlinger, der logges. Microsoft angiver, at postkasseauditering er slået til som standard i alle organisationer, og at egenskaben AuditEnabled på den enkelte postkasse da ikke har betydning. Alligevel kan der mangle hændelser: Listen over handlinger pr. logontype kan være ændret, auditering kan være slået fra for hele organisationen, og bestemte brugere kan være undtaget med en bypass-indstilling, så deres handlinger slet ikke logges. Kontrollér alle tre.

Relevante handlinger ud over adgang:

Send og SendAs · Mail sendt fra postkassen eller i dens navn
Create og Update · Element oprettet eller ændret
MoveToDeletedItems, SoftDelete, HardDelete · De tre trin i sletning
UpdateInboxRules · Ændring af indbakkeregler fra klienten
SearchQueryInitiated · Søgninger i postkassen, hvis det er slået til og licensen dækker

MailItemsAccessed: Sync og Bind

MailItemsAccessed registrerer adgang til mailindhold via de protokoller og klienter, Exchange understøtter. Hændelsen har en egenskab, der angiver adgangstypen:

Bind: Adgang til et enkelt element. Posten indeholder elementets Message-ID, så den konkrete mail kan identificeres. Bind-adgange inden for et vindue på to minutter samles i én post med et antal.
Sync: En klient har synkroniseret en mappe. Ifølge Microsoft registreres sync kun for skrivebordsudgaven af Outlook på Windows og Mac. Posten angiver mappen, ikke de enkelte mails.

Forskellen er afgørende. En sync-hændelse betyder, at klienten har hentet en kopi af mappens indhold. Man kan ikke ud fra loggen se, hvilke mails i mappen der efterfølgende blev åbnet, men man må gå ud fra, at hele mappens indhold på det tidspunkt er kommet i hænderne på den, der kontrollerede klienten. I en databrudsvurdering betyder det, at alle mails i mappen skal behandles som potentielt kompromitterede. En række bind-hændelser fra en webbrowser giver derimod en konkret liste over mails. Bemærk, at systemet frasorterer gentagne poster for samme adgang inden for en time, medmindre fx IP-adresse, klient, mappe, logontype eller sessions-id er forskellige.

Licens og tilgængelighed

MailItemsAccessed var oprindelig kun tilgængelig med de højeste licenser, men Microsoft har siden gjort den til en del af standardrevisionen. Hvilke licenser der giver hændelsen og søgehændelser som SearchQueryInitiated, og hvor længe de opbevares, ændrer Microsoft løbende; ved gennemgangen var standardopbevaringen 180 dage, mens visse arbejdsbelastninger og udvidede licenser gav længere tid. Kontrollér for den konkrete tenant og postkasse, om hændelsen faktisk blev logget i perioden, fx ved at søge efter hændelser fra ejerens egen normale brug. Findes de ikke, er fraværet af hændelser fra den uvedkommende uden betydning.

Begrænsning ved store mængder

Microsoft har tidligere dokumenteret, at logningen af MailItemsAccessed kan blive midlertidigt begrænset, hvis en postkasse genererer et meget stort antal hændelser på kort tid. Posterne blev i så fald markeret, og i perioden derefter kunne der mangle hændelser. Det er en kendt situation ved masseoverførsel, hvor en angriber synkroniserer hele postkassen. Ses en markering, skal resten af perioden behandles som et hul, og konsekvensen er typisk, at hele postkassen må anses for at være tilgået.

Koble adgang til en session

Hver post indeholder oplysninger om klienten: IP-adresse, klientinformation, sessions-id og for app-adgang et app-id. Det gør det muligt at adskille ejerens egen adgang fra den uvedkommendes. Sessions-id’et kan kobles til loginloggen i Entra ID, så en bestemt adgang kan føres tilbage til et bestemt login, inklusive godkendelsesmetode og om det skete med et stjålet token; se Sessioner, tokens og loginlogs.

Adgang via en app, der har fået tilladelse til at læse mail gennem en API, ser anderledes ud end adgang fra en browser. App-id’et peger på den registrerede app, og den kan være oprettet eller godkendt som led i angrebet; se OAuth-apps og samtykke-phishing.

Fremgangsmåde

Bekræft logningen: Kontrollér auditindstillinger og licens, og find ejerens egne MailItemsAccessed-hændelser som kontrolprøve.
Afgræns sessionerne: Identificér de sessioner, IP-adresser og klienter, der tilhører den uvedkommende, ud fra loginloggen.
Eksportér bredt: Alle postkassehændelser for postkassen i perioden, ikke kun MailItemsAccessed, i fuld form med AuditData.
Skil Sync fra Bind: For sync-hændelser registreres mapperne. For bind-hændelser udtrækkes Message-ID’er.
Find indholdet: Message-ID’erne bruges til at finde de konkrete mails med eDiscovery. For synkroniserede mapper indsamles mappens indhold på tidspunktet.
Markér huller: Begrænsede perioder, manglende licens og tidsrum uden for opbevaringen.

Resultatet er grundlaget for at afgrænse, hvilke personoplysninger der er berørt; se Hvilke persondata blev berørt?.

Når MailItemsAccessed mangler

Findes hændelsen ikke for perioden, er der stadig andre spor, men de giver et grovere billede:

Loginloggen viser, hvornår den uvedkommende var logget ind, fra hvilken klient og med hvilken protokol. En session med en fuld mailklient eller en ældre protokol peger mod overførsel af hele mapper.
Andre postkassehændelser som afsendelse, sletning og ændring af regler viser, at sessionen var aktiv i postkassen, og hvad den gjorde.
Transportspor viser mails sendt fra kontoen i perioden, også hvis de er slettet fra Sendt post.
Logs uden for Microsoft 365, fx fra en sikkerhedsløsning eller et SIEM, kan indeholde aktivitet, der ikke længere findes i tenanten.
API-aktivitetslogs, hvis organisationen har sat logning af Microsoft Graph-aktivitet op til et eget logarkiv. Logningen skal slås til via diagnostiske indstillinger, kræver en betalt Entra ID-licens og et Azure-abonnement og dækker kun tiden efter opsætningen.

Uden adgangshændelser er det sjældent muligt at afgrænse til enkelte mails. Den forsigtige konklusion er da, at alt indhold, sessionen havde adgang til i det tidsrum, den var aktiv, skal anses for at være tilgået. Det er tungt i en databrudsvurdering, men det er det, data kan bære. Den samlede undersøgelse af en kompromitteret konto er beskrevet i BEC-undersøgelse i Microsoft 365 trin for trin, og de krav, virksomheden møder inden for de første døgn, på bevissikring-digitalt.dk.

Typiske fejlkilder

Ejerens egne klienter: Ejerens telefon og computer synkroniserer løbende. Uden adskillelse på session og IP ser alt ud som mistænkelig adgang.
Systemadgang: Indeksering, sikkerhedsscanning og tredjepartsbackup kan give adgangshændelser. Deres app-id’er og konti skal identificeres.
Forsinkelse: Hændelser kan dukke op i loggen med forsinkelse.
Tidszone: Loggen er i UTC.
Sync er ikke læst: En synkroniseret mappe er overført, ikke nødvendigvis læst af et menneske, men det kan ikke udelukkes.

Hvad hændelserne kan og ikke kan bevise

MailItemsAccessed kan vise, at en bestemt session fik adgang til bestemte mails eller mapper på et bestemt tidspunkt. Den kan ikke vise, at et menneske læste indholdet, og den kan ikke vise adgang i perioder uden logning. Konklusionen formuleres derfor som tilgået eller overført, med angivelse af metode og huller.

Dokumentation

Angiv auditindstillinger, licens, søgekriterier, eksportfiler med hashværdier, adskillelsen mellem ejerens og den uvedkommendes sessioner, antal sync- og bind-hændelser, de berørte mapper og Message-ID’er og alle perioder med begrænset eller manglende logning.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Microsoft 365 og Entra ID: logkilderne

Læs også: Exchange Online: Recoverable Items, hold og hvad der reelt er tilbage · Indbakkeregler og videresendelse: opdagelse og datering i Microsoft 365

→ Microsoft 365-forensik · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-sikkerhed og SOC · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik